Claude Security
Claude Security ってなんだろう
ひとことで言うと、自分のコードの健康診断です。
公式ドキュメントによると、複数のAIがチームを組んで、こういう順番で動くそうです。
プロジェクトの構造を把握する
「どこが狙われそうか」の見取り図を作る
実際に危ないところを探す
見つけたものを、別のAIが独立して検証する
4番目を通ったものだけが、報告書に載ります。 だから報告書は短くなって、読む価値のあるものだけが残る、という考え方です。
調べ方は2通り。
プロジェクトまるごと全部を調べるか、変更した分だけを調べるか。 後者は、ブランチの差分・プルリクエストの差分・特定のコミット1つ、から選べます。
引っ越しのときの大掃除と、毎日の片づけ、みたいなイメージでしょうか。
ぼくが「いいな」と思ったのは、全部ターミナルの中で終わるところでした。
どこか別のサイトにコードをアップロードして、結果を待って、また戻ってくる。 そういう行ったり来たりがないんですよね。 いつも使っている Claude Code の画面で、そのまま動きます。
そして大事なのが、見つけても勝手に直さないこと。
修正案は .patch というファイルとして出力されるだけです。 適用するかどうかは、自分で決めます。 これは安心だなと思いました。
ちなみに security-guidance という無料のものもあって、そちらは書いているそばから「それ危ないですよ」と教えてくれるタイプ。 今回入れたのは、腰を据えてじっくり調べる方です。
入れる前に確認すること
先にここを見ておくと、あとでつまずきません。
有料プランであること
Claude Code v2.1.154 以降（
claude --versionで確認）Python 3.9.6 以降（
python3 --versionで確認）Windows / Mac / Linux どれでもOK
Pythonが、たぶん一番の落とし穴です。 公式のトラブルシューティングも、この項目しか載っていないくらい。
ただ、追加で何かをインストールする必要はありません。 標準の機能しか使わないそうなので、Pythonが入ってさえいれば大丈夫です。
入れてみる（コマンドは2つ）
拍子抜けするくらい簡単でした。
1つめ。 本体を入れます。
/plugin install claude-security@claude-plugins-official
「どこで使えるようにしますか？」と3択で聞かれるので、いちばん上の「自分だけ（user）」を選べば大丈夫です。 このパソコンで開く作業すべてで使えるようになります。
もし「マーケットプレイスが見つかりません」と言われたら、先にこれを実行してから、もう一度インストールを。
/plugin marketplace add anthropics/claude-plugins-official
2つめ。 読み込み直します。
/reload-plugins
これで準備完了です。 再起動もいりません。
で、実際に動かしてみたら
/claude-security と打つと、メニューが開きます。
「コードベース全体を調べる」「変更した分だけ調べる」「見つかった問題の直し方を出す」の3つ。
はじめてなら、いちばん上でいいと思います。
そのあと「どこを調べますか？」と聞かれるのですが、ここが親切でした。 プラグインが先にプロジェクトを読んでくれて、全体か、範囲を絞るか、選択肢を出してくれます。 それぞれのファイル数と、だいたいのコストつきで。
ちなみに、スキャンには時間がかかります。 使うトークンもそれなりなので、終わるまで Claude Code を開いたままにしておく必要があります。
もしあなたも同じように棚の上に置いたままなら、入れるところまでだけでも試してみてもいいかもしれません。 実際に動かすかどうかは、そのあとで決められます。
セキュリティまわり、みなさんどうしていますか？
